VPN - Einrichtung und diverse Fragen

[tproko]

NAS Firewall?
Ich denke du musst Freigaben für das Openvpn Netz dazu geben.

Also das rot obfuskierte Feld bei dir, wo dynamische Adresse steht bei der vpn gui.

 

[Ghost108]

so sieht die NAS Firewall aktuell aus:


habe ich folgendermaßen angepasst:


Danach bekomme ich allerdings keine VPN Verbindung mehr hin

 

[blurrrr]

Da die Syno der VPN-Server ist, solltest Du schon hingehen und die entsprechenden VPN-Ports schon von "ANY" zulassen (oder nur Deutschland, oder wie auch immer, eben von wo Du Dich einwählst). Zudem hast Du Dich wohl um ein paar Funktionen (ausser die Dinge die über 5000/5001 laufen) beschnitten... Einfach mal Firewall anmachen und glücklich sein, funktioniert so leider nicht. Hier mal das kurz-Konzept:

1) Anti-Lockout-Rule: Nimm Dein "normales" Netz (LAN/WLAN) mit der entsprechenden ID und erlaube zumindestens das DSM (oder einfach alles, dann läuft es wie ohne Firewall, aber eben "nur" für Dein LAN.).
2) Definiere die Zugriffe, welche "nicht" aus Deinem LAN kommen (z.B. VPN), somit muss der Zugriff auf die VPN-Dienste von "any" oder "Deutschland" (usw.) stattfinden können. Deutschland, wenn Du nur aus Deutschland zugreifst, oder Du definierst bestimmte Länder (Urlaub?), oder setzt es einfach auf "any".
3) Clean-Up-Rule: Verbiete einfach alles andere, was nicht vorher aufgeführt wurde (deswegen auch Regel 1 ). Dies ist aber normalerweise in der Syno schon konfiguriert (unter den Regeln der Punkt "wenn keine Regel zutrifft, dann...")

Solltest Du noch weitere Dienste nach aussen anbieten (ausser VPN), müssen diese auch noch irgendwo zwischen 2 und 3 definiert werden. Die Regeln werden von oben nach unten abgearbeitet, also ist ebenfalls die Reihenfolge wichtig. Hast Du zuerst ein "verbiete Port 80" und danach ein "erlaube Port 80" bleibt es beim "verboten".

Wünsche viel Erfolg mit der Firewall-Konfiguration

 

[Ghost108]

wow das ist soooo viel input - leider bin ich nicht so der Netzwerk-Guru.
Kannst du mir das ggf anhand von Screenshots zeigen?

Habe es schon mal versucht.
In der Firewall, LAN 1, Zugriff grundsätzlich verweigert, bis auf die Ausnahmen (hier die IP des LANs):


Dann noch unter VPN, Zugriff grundsätzlich verweigert, bis auf die Ausnahmen (hier die IP der VPN Setting):



VPN Verbindung klappt nicht

 

[blurrrr]

Vergiss das mal einfach mit den speziellen "Schnittstellen"... Hier mal ein Beispiel:



Annahmen waren nun wie folgt:

192.168.178.0/24 ist Dein privates Netzwerk (Fritzbox-Standard) -> wenn nicht, "anpassen"!
10.8.0.0/24 ist Dein VPN-Netzwerk (Syno-Standard) -> wenn nicht, "anpassen"!

Regel 1: erlaubt sämtliche Zugriffe aus dem "lokalen" Netzwerk
Regel 2: erlaubt den Zugriff von extern auf den VPN-Server (ohne diese Regel kann man sich nicht einwählen)
Regel 3: als Beispiel Regel für den Zugriff vom VPN-Netzwerk auf das NAS (DSM,etc. - nur Port 5001)
Regel 4: die o.g. Aufräum-Regel

Viel Erfolg

 

[tproko]

Naja, da hilft es jetzt eh nur selber spielen... das ist pauschal schwierig zu beantworten.
Ich kann mal probieren, dich in die richtige (?) Richtung zu leiten - zumindest klappt es so bei mir, ob es wirklich richtig ist ... keine Ahnung

Der Einfachheit halber würde ich einfach alles im Profil "alle Schnittstellen" reingeben.

1.) Also, wie gesagt, alles in "alle Schnittstellen".
Somit soll LAN1, LAN2, PPOE, VPN leer sein, hier nur darauf achten, dass "trifft keine Regel zu -> verweigern" eingestellt ist.
Die folgenden Punkte kannst du dann in "alle Schnittstellen" festlegen.

2.) Alle Ports, alle Protokolle für Quell-IP 192.168.1.1 - 192.168.1.254 zulassen.
Das ist dein internes Netz, hier musst du dann natürlich deine wirkliche Netzwerk-IP eintragen (nachdem du diese immer schwärzt, sehe ich die ja leider nicht.
Warum eigentlich? Das einzige relevante was du uns nicht präsentieren solltest ist deine externe IP. Naja egal. Diese IP findest du unter Netzwerk-Netzwerkschnittstelle-dann zB. LAN1 und dort die IP, daraus das richtige Subnetz zusammenbauen).

3.) Alle Ports, alle Protokolle für Quell-IP 10.8.0.0 - 10.8.0.255 zulassen.
Das ist dein VPN. Auch hier muss der Traffic erlaubt werden. Du musst es wieder durch die Netzwerk-IP korrigieren, welche du wirklich im Openvpn-Server konfiguriert siehst!

4.) Ports für VPN Server müssen nach außen freigeschalten sein. Normalerweise UDP bei Openvpn, zur Sicherheit sonst für alle Protokolle für alle IP-Adressen zugelassen.
Natürlich kannst du das auf Deutschland oder irgendwas begrenzen, aber so richtig gut funktionieren die IP-basierten Ländereinstellungen sowieso nicht. Daher hab ich für mich hier sämtliche IPs freigeschalten, da mir der Rest gerade mit Handy-Netzen etc. zu mühsam wurde.

5.) rein aus Paranoia, wahrscheinlich nicht notwendig: alle Ports, alle Portokolle, alle IPs, verweigern!

6.) du kannst aber natürlich sagen, dass jemand in deinem VPN nur auf die Ports 443 oder sonst was auf deine DSM darf. Aber das musst du dann selber entscheiden, was du zulässt und was du sperrst.

Diese Default-Konfig in einem Satz: von außen nur VPN Port offen, vom VPN Netz und vom internen LAN-Netz darf jeder alles von der Syno abrufen.
Ab jetzt sollte der Zugriff klappen, aber wie gesagt, wenn du das dann für bestimmte Geräte oder Ports oder VPN-Netz weiter einschränken möchtest, bleibt da sehr viel Handlungsspielraum


Meine Konfig sieht dann noch ganz ganz viel viel schlimmer aus, aber da kommt vielleicht die Paranoia wieder vor...
Habe mal versucht die oben beschriebenen Punkte in einem Screenshot zusammenzufassen.
Viel Erfolg!

 

[blurrrr]

@ tproko: erster! Allerdings - ist Deins wohl etwas verständlicher formuliert, ich bin da etwas minimalistisch veranlagt

 

[tproko]

blurrrr war schneller, hat aber genau die gleichen Gedanken

@blurrrr: yep, aber unsere Ansätze und auch der Screenshot decken sich ganz gut. Ist mal gut zu wissen, dass ich zumindest nicht ganz auf dem Holzweg bin.

 

[Ghost108]

Ja bei mir läuft es so jetzt auch
Damit ich es verstehe (anhand des Fotos von tproko):

1. Lasse alles zu was aus dem LAN kommt
2. Lasse alles zu was aus dem VPN Netz kommt
3. Hier verstehe ich den Sinn dieser Regel nicht, welche aber einen Sinn haben muss, da ansonsten die VPN Verbindung nicht klappt
4. Verweigere alles sonstige.

 

[tproko]

Ganz einfach, wenn du die Regel 3 deaktivierst, dann sperrt die Syno den Zugriff von außen auf den VPNServer.

Du musst dir das so vorstellen. Du sitzt außen zB. auf deinem Handy oder MAC mit der externen IP 70.70.70.70.
Jetzt kommst du über die Fritzbox + Portweiterleitung zur Syno. Diese sagt ohne Regel dann, dass diese IP blockiert wird.
Mit Regel 3 sagt die Syno dann, okay, jede beliebige IP darf zu mir auf den VPN Server...

Verständlich ?

 

[Ghost108]

verständlich !
Kann man dies denn nicht auch noch auf eine IP Adresse beschränken oder geht das nicht?
Bin kein Freund von ALLE DÜRFEN

 

[blurrrr]

Kommt drauf an, was Du von wo verbieten willst. Grundsätzlich gilt: soviel wie nötig, sowenig wie möglich (zumindestens in meiner Welt).

Von daher gibt es schon einen Unterscheid zwischen den Screenshots von tproko und mir: tproko erlaubt "alles" aus dem VPN-Netz, bei mir sind es nur die Dienste die via Port 5001 angesprochen werden. Das wäre der Punkt mit den Diensten. Bei den IP-Adressen ist sowas natürlich auch möglich. Solange nur "Du" Dich ins VPN einwählst, wird es "vermutlich" (!) auch bei der gleichen VPN-Netz-IP (10.8.0.2) bleiben, welche Deinem mobilen Client zugewiesen wird. So kannst Du statt dem gesamten VPN-Netz auch nur die entsprechende IP angeben und dort definieren was erlaubt ist. Sollte sich die IP aber mal ändern, kannst Du garnichts mehr. Sollten sich noch weitere Leute einwählen, wird es natürlich problematisch.

Was den Zugriff von aussen angeht, so fehlt der Syno leider noch ein ganz spezieller Part bei der Firewall, aber es ist auch "nur" ein NAS und keine Enterprise-Firewall: Du hast von extern nicht unter Kontrolle, von welcher öffentlichen IP Du Dich einwählst. Die wird bestimmt durch die Provider des Standortes an dem Du Dich grade befindest (oder eben durch den Mobilfunkanbieter). Zwar lassen sich dort auch immer entsprechende Netze zuordnen, aber eine bestimmte IP zu definieren dürfte sehr schwierig bzw. unmöglich sein, da die Provider diese auch via DHCP verteilen und Du vermutlich jedes mal eine andere bekommst. Vernünftige Firewalls sind in der Lage mit "DNS-Hosts" umzugehen. Heisst kurzum, dass man bei solchen Geräten z.B. auch eine DynDNS-Adresse angeben kann und damit Regeln setzen kann. Da braucht der Mobilclient nur noch eine eigene DynDNS-Adresse (inkl. DynDNS-Client auf dem Mobilgerät) und dann kann man damit auch die Zugriffe dynamischen extgernen Clients steuern. "Intern" kannst Du natürlich statische IP-Adressen vergeben (oder DHCP-Reservierungen vornehmen) und dort entsprechende Regeln auf die Firewall setzen (z.B. darf die China-IP-Cam nicht auf SMB-Freigaben zugreifen und ähnliches).

Wie gesagt, es kommt - im Detail - darauf an, was Du wo genau erreichen möchtest.

EDIT: Wo ich grade so gestöbert habe... Dein Thread "Firewall-Einstellung blockt eigenen PC"... -> Regel 1

 

[Ghost108]

ja bin jetzt schon deutlicher schlauer als vorher
vielen Dank für eure Unterstützung

 

[Ghost108]

noch eine Sache:
auf meinem iphone habe ich die openVPN App installiert und auch die openVPN Config der NAS eingebunden. VPN Verbindung erfolgreich !
Jetzt würde ich gernen meine NAS CalDAV Server EInstellung auf dem iphone anpassen.
Aktuell steht bei Serve die DDNS der NAS.
Diesen Eintrag müsste ich durch die LAN IP der NAS ersetzen.

Gesagt, getan.
Allerdings kommt die Meldung "Verbindung über SSL unmöglich"
Vorher kam auch noch die Meldung das dem Zertifikat nicht vertraut wird.
Das ist neu, seit der VPN Verbindung - vorher hat das ohen Problem geklappt.
Ne idee?

 

[Ghost108]

Konnte CardDAV erfolgreich einrichten, CalDAV macht weiterhin das Problem von #34

 

[tproko]

@blurrrr: stimmt grundsätzlich, bei mir darf im VPN quasi jede IP alles.
Hat aber den Grund, dass bei mir ins VPN nur meine Frau und ich kommen und wir zusätzlich zum Passwort noch Client Certs haben als 2. Faktor beim Login. Dh. ohne das jemand vorher Zugriff auf unsere Geräte hat zwecks Client Cert ist das für mich sicher genug. Ich will im VPN daher keine weiteren Limitierungen.

@ghost: welche IP willst du einschränken? Die von Regel 3?
Natürlich kannst du immer mehr einschränken oder auch nur gewisse Ports erlauben.
Aber du wirst hier trotzdem immer wieder auf Probleme stoßen, gerade bei Handys und Funknetz hast du ja nicht eine fix IP sondern meist gibt es einige verschiedene IP Ranges.

Hier wäre evt besser, als Regel zu definieren, welche Länder/Regionen du sperren willst.

Zu deiner letzten Frage, das ist ja seltsam. Aber du könntest auf deiner Syno den DNS Server installieren, und somit deinen ddns intern auf die lokale IP auflösen lassen. Hat den Vorteil, dass du auch intern mit my.ddns.net zugreifen kannst und das LetsEncrypt Cert als gültig angezeigt wird.
Damit das auch über Vpn klappt, musst du zusätzlich den DNS Server am Server (bei dir ohne ssh und config Anpassung schwierig) oder Client (hier) pushen.

 

[Ghost108]

Interessant ist ja, das ich Datensicherung Note, drive, Moments und cardav erfolgreich verbinden konnte. Nur caldav macht Probleme

 

[Ghost108]

habe den DNS Server noch ein eingerichtet - installiert ist diese nun ?
Aber wie gehts weiter?

 

[Ghost108]

okay habe es hinbekommen - wahr wohl noch ne Einstellungsfehler am iPhone .
danke für eure Hilfe